FTP服务器默认的访问端口是21（控制连接端口），数据传输则使用20端口（主动模式）或随机高位端口（被动模式）。
FTP服务器默认端口是多少？21和20的职责分别是什么
FTP协议在设计之初就把控制信息和数据分开传输,所以默认占用了两个端口，21端口负责发送指令和接收响应，比如登录、浏览目录、删除文件等操作都走这个通道，20端口则在主动模式下承担数据传送任务，无论是上传还是下载，实际的文件流都通过它传输。参考2
控制连接为何占用端口21
客户端与服务器建立连接时,首先向服务器的21端口发起请求，这个连接在整个会话期间保持打开，用于交换命令和状态码，业内专家指出，这种分离设计让控制通道始终稳定，即使数据传送中断也能快速重试，实践中，所有FTP客户端（如FileZilla、WinSCP、Windows资源管理器）默认连接的地址都是 服务器IP:21。
数据连接默认使用端口20的场景
当服务器主动向客户端发起数据传送时,会使用自己的20端口，这个模式称为主动模式（PORT），大部分企业内网环境或防火墙规则允许时，服务器可以直接从20端口推数据给客户端，但公网场景下，客户端防火墙可能拦截来自20端口的入站连接，因此被动模式更常用。参考2
被动模式下的端口范围如何确定
在被动模式（PASV）中，服务器不再使用20端口，而是临时开放一个 高位端口（通常为1024以上），客户端主动连接这个随机端口来拉取数据，服务器管理员可以在配置文件中指定一个端口范围，比如vsftpd中的 pasv_min_port 和 pasv_max_port 参数，行业共识认为，将被动模式端口限定在 30000-50000 之间，既能满足并发需求，又便于防火墙精确放行。
FTP端口21和20的区别：主动模式与被动模式的选择
很多新手分不清21和20的具体作用,甚至以为FTP只用一个端口，这两个端口在不同模式下扮演的角色完全不同，选错模式可能导致连接失败。
主动模式工作流程及端口使用
- 客户端连接服务器的 21端口，发送PORT命令告诉服务器自己的IP和随机端口（比如4000）。
- 服务器收到后,用自身的 20端口 主动连接客户端的4000端口。
- 数据传送完成后,20端口关闭，控制连接仍然保留。
关键点：主动模式要求服务器能发起外连，如果客户端防火墙限制入站连接，主动模式会失败，主动模式更适合 服务器到客户端没有防火墙拦截 的内网环境。
被动模式工作流程及端口使用
- 客户端连接服务器的 21端口，发送PASV命令。
- 服务器返回一个IP地址和随机端口（比如50000），然后客户端主动连接这个端口。
- 数据传送时,服务器不再使用20端口，只通过21端口传递控制信息。
关键点：被动模式中，服务器只需要开放21端口和一个 高位端口范围，所有数据连接都由客户端发起，这极大提升了跨公网、跨防火墙的成功率，是目前绝大多数云服务器和NAS设备的默认配置。
企业内网与公网场景的端口倾向
- 企业内网：主动模式更高效，因为服务器直连客户端，无需额外端口范围，防火墙规则简单。
- 公网服务：被动模式是主流，需在防火墙中开放21端口和一段高位端口，同时配置服务器端被动端口范围，避免端口用完。
- 混合环境：支持两种模式切换，客户端根据网络自动选择，统计显示，超过70%的FTP连接使用被动模式，主要是公网场景驱动。
FTP端口安全配置：从默认值到企业防御
默认端口21是黑客扫描的重点目标,因此安全配置不能只依赖默认值，近年来的攻击案例显示，针对21端口的暴力破解和漏洞利用占总攻击量的相当比例，合理的端口策略能显著降低风险。
修改默认端口降低扫描风险
将FTP端口从21改为一个
非标准端口（如2121、2221等），可以绕过大部分自动化扫描，但注意，修改后客户端连接地址也要相应调整，ftp://yourdomain.com:2121，这个技巧对服务器隐蔽性有直接提升，但并不能完全防御针对性攻击，需要配合其他措施。
防火墙规则细化与IP白名单
- 限制21端口（或修改后的端口）仅允许特定IP段访问。
- 被动模式端口范围也添加相同限制,避免数据通道被滥用。
- 使用 fail2ban 或类似工具，监测登录失败次数，超过阈值自动封禁IP。
很多企业将FTP服务器放在DMZ区,只开放必要的端口给互联网，同时在内网侧通过跳板机访问，这是最安全的做法之一。
启用FTPS或切换SFTP
如果业务允许,优先使用 SFTP（SSH File Transfer Protocol），它基于22端口，一次性加密所有数据，且无需额外端口范围，若必须使用传统FTP，至少启用 FTP over SSL/TLS（FTPS），加密控制通道和数据通道，防止明文口令被截获，需要注意的是，FTPS仍需要开放21端口和被动端口范围，但加密层大大提升了安全性。
FTP端口修改方法以vsftpd和Serv-U为例
修改端口是安全配置的第一步,下面给出两个主流FTP服务器的实操步骤，你可以直接复制命令操作。
Linux下vsftpd端口修改步骤
- 编辑配置文件：
sudo vi /etc/vsftpd.conf - 修改或添加以下参数：
listen_port=2121（将默认21改为2121）pasv_enable=YESpasv_min_port=30000pasv_max_port=31000
- 保存文件,重启服务：
sudo systemctl restart vsftpd - 防火墙放行新端口：
sudo ufw allow 2121/tcp和sudo ufw allow 30000:31000/tcp - 客户端连接时地址写
ftp://yourdomain.com:2121，被动模式端口范围设置为30000-31000。
Windows下Serv-U端口修改步骤
- 打开Serv-U管理控制台，选择“域”→“监听器”。
- 双击默认监听器,将 端口 从21改为新值（如2121）。
- 在“被动模式”选项卡中，勾选“使用被动模式端口范围”，设置起始和结束端口（如30000-31000）。
- 点击“保存”并重启Serv-U服务。
- Windows防火墙中添加入站规则,放行2121端口和30000-31000端口。
- 客户端连接时同样指定端口2121,被动模式范围与服务端一致。
修改后防火墙与客户端配置
无论哪种服务器,修改端口后都需要同步更新防火墙规则，如果使用云服务器，还需在安全组中放行对应端口，客户端方面，FileZilla等工具可以在“站点管理器”中直接指定端口和被动模式范围，确保与服务器完全匹配，否则可能无法建立数据连接。
常见问题：FTP服务器默认端口相关问答
FTP服务器默认端口是21吗？
是的，FTP控制连接默认使用21端口，数据连接在主动模式下使用20端口，被动模式则使用随机高位端口，这是由RFC 959规定的，几乎所有FTP服务器软件都遵循此标准。
FTP端口21和22有什么区别？
21端口是FTP控制端口，22端口是SSH（安全Shell）和SFTP的默认端口，SFTP基于SSH协议，不需要FTP的那套控制与数据分离设计，也无需额外端口范围，只需开放22端口即可，如果你需要加密传输且不想处理复杂端口配置，SFTP是更好的选择。
FTP被动模式端口范围怎么设置？
在服务器配置文件中定义 `pasv_min_port` 和 `pasv_max_port`（如vsftpd），或通过图形界面设置起始和结束端口（如Serv-U），建议范围不小于1000个端口，以应对高并发场景，在防火墙和安全组中放行这个范围，客户端连接时也需指定相同范围，否则无法完成数据传送。
FTP服务器的默认端口21和20依然是很多场景的基础选择,但现代网络环境要求我们根据实际需求调整端口策略，并结合加密和防火墙规则来提升整体安全性，掌握这些端口原理和配置方法，你就能在文件传输服务中做到既稳定又安全。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/520295.html
